PHP实现浏览器NTLM凭据转发至CURL请求的方案问询

NTLM认证是多阶段挑战响应流程，你直接复用客户端的Authorization头无效，因为每个NTLM会话的挑战值是独有的，无法跨服务复用。以下是可行的实现方案：

核心思路 #

让PHP进程模拟客户端的NTLM身份，再通过CURL和CertSrv完成完整的NTLM握手，而非直接转发头信息。此方案依赖Windows环境的SSPI（安全支持提供程序接口）实现凭据传递。

步骤1：配置IIS环境 #

1. 启用Windows身份验证：在IIS管理器中，找到你的站点 → 身份验证 → 启用「Windows身份验证」，禁用其他认证方式。
2. 启用模拟：进入站点功能视图 → 打开「模拟」→ 设置为「启用」，选择「使用客户端凭据」。
3. 配置AD委派（跨机器访问CertSrv时需要）：在Active Directory中，给IIS应用池对应的用户账户设置「信任此用户用于委派到指定服务（Kerberos only）」，指定CertSrv的服务主体名称（SPN）。

步骤2：修改PHP代码 #

// 完成客户端NTLM认证校验
$headers = getallheaders();
if (!isset($headers['Authorization'])) {
    header('HTTP/1.1 401 Unauthorized');
    header('WWW-Authenticate: NTLM');
    exit;
}

// 生成CSR的现有逻辑（保留你的代码）
$csr = "-----BEGIN CERTIFICATE REQUEST-----
... 你的CSR内容 ...
-----END CERTIFICATE REQUEST-----";

// 配置CURL请求CertSrv
$ch = curl_init();
curl_setopt($ch, CURLOPT_URL, "https://你的CertSrv地址/certsrv/certfnsh.asp");
curl_setopt($ch, CURLOPT_POST, true);

// 构造CertSrv所需的POST参数（根据实际模板调整）
$postData = [
    'Mode' => 'newreq',
    'CertRequest' => $csr,
    'CertTemplate' => 'WebServer', // 替换为你的证书模板名称
    'FriendlyType' => 'SSL Server Certificate'
];
curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query($postData));

// 启用NTLM认证，依赖SSPI自动使用模拟的客户端凭据
curl_setopt($ch, CURLOPT_HTTPAUTH, CURLAUTH_NTLM);
// 无需设置CURLOPT_USERPWD，SSPI会自动注入当前模拟的用户身份

// 其他CURL基础配置
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_SSL_VERIFYPEER, false); // 生产环境建议启用并配置CA证书
curl_setopt($ch, CURLOPT_FOLLOWLOCATION, true);

// 执行请求并处理响应
$response = curl_exec($ch);
if (curl_errno($ch)) {
    die('CURL错误: ' . curl_error($ch));
}
// 输出或处理CertSrv返回的证书内容
echo $response;

curl_close($ch);

关键说明 #

• 此方案仅适用于Windows服务器+IIS环境，Linux下NTLM委派支持有限，建议改用Kerberos认证。
• 模拟功能必须正确配置，否则CURL会使用应用池自身的身份而非客户端身份发起请求。
• 直接转发Authorization头无效的原因：NTLM的令牌是客户端与当前PHP服务器的会话凭证，和CertSrv的会话无关，挑战值不匹配，无法通过校验。

内容的提问来源于stack exchange，提问作者Craig B